１ 事案の概要
令和５年９月 26 日、フリマアプリからＰＯＳレジ端末１台を購入した方（東京都内在住）から、警視庁荻窪警察署を通じ、当該端末に当院の名称と個人データが記録され、閲覧可能である旨の連絡を受けました。
当該購入者の御協力の下、回収した機器を調査した結果、本件業務において処分したＰＯＳレジ端末３台のうちの１台であり、委託事業者に当該機器に個人データが記録されている認識がないままに流通させたことが判明しました。
２ 事案発覚後の調査及び対応
(１) ＰＯＳレジ端末の流通
ＰＯＳレジ１号機 フリマアプリにて当該購入者氏が購入し、当院が回収。委託事業者からフリマアプリ出品者までの流通経路は判明しませんでした。
ＰＯＳレジ２号機・３号機 一部再委託事業者から部品取り用のジャンク品として流通させたとする報告はあるものの、その後の流通を客観的に証明することはできませんでした。
(２) ＰＯＳレジ端末に記録されている漏えいの恐れのある個人データの件数
平成 26 年６月 30 日から平成 29 年 10 月 27 日までの間、各端末に記録された➀患者 ID及びカナ氏名（住所や電話番号はありません。）、➁入院・外来の別及び診療科、③請求金額
漏えいの恐れのある個人データの件数：４８，６５１人
(３) 当該情報のアクセスの困難度
回収した端末は、直近 11 営業日のログが txt 形式で記録されるよう設定されているため、当該 11 営業日（平成 29 年 10 月 13、16、17、18、19、20、23、24、25、26 及び27
日）に係る延べ３，４２７件（実人数２，５６７人）分は、特段の技術なしに閲覧可能で、機器購入者はその一部（件数不明）を閲覧し、本事案の判明に至りました。
回収したＰＯＳレジ１台に記録された個人データは、12営業日以降は圧縮化処理され、システムと接続し、当院が管理するログイン用のID及びパスワードがない限り、通常は閲覧不能ですが、極めて高度な情報処理技術を用いれば、閲覧できる可能性を完全には否定できません。
また、ＰＯＳレジ２号機・３号機については、使用不能なジャンク品として流通されたものであり、仮に、何らかの手段で修繕した場合においても、システムと接続し、当院が管理するログイン用の ID 及びパスワードがない限り、通常は閲覧不能で、事実上、個人データの漏えいは極めて低いものと考えられます。
(４) 関係機関・本人への報告
本件事案は、個人データ漏えい等事案として、個人情報保護委員会（内閣府外局）に遅
滞なく報告しております。
また、個人情報の保護に関する法律第 26 条第２項に基づく本人通知をしており、連絡
先の不明な方に対する代替措置（同項ただし書）として、当院ホームページにおいても周
知しました。
３ 再発防止策
今後、このような事態を招くことのないよう、次のとおり取り組んでまいります。
- 当院又は委託事業者の保有する情報機器を委託により廃棄処分する際には、破砕等作業を実地により確認してまいります。
- 全ての委託先に対し、業務遂行に当たり「個人情報取扱特記事項」を遵守するよう改めて申し入れました。
- 本件事案を全職員に共有するとともに、個人情報の取扱いに関する研修会を定期的に実施します。
